# Leyes de email marketing: reglas de consentimiento por país > Casi todas las leyes de email marketing piden tres cosas: permiso para escribirle a la persona, una identidad de remitente clara y una forma de darse de baja que funcione. Estados Unidos (CAN-SPAM) permite enviar hasta que alguien se da de baja; la Unión Europea, el Reino Unido, Canadá, Japón, Australia y Colombia exigen en general consentimiento antes de cualquier email de marketing, y México admite el consentimiento tácito con aviso de privacidad, pero obliga a respetar a quien pide no recibir publicidad. Canonical: https://tellnod.com/es/guides/email-marketing-consent-laws Last updated: 2026-10-22 Author: Tellnod team ## Lo que te pide cualquier ley de email marketing > Esta guía es información general para tiendas pequeñas, no asesoría legal. Las leyes cambian y sus detalles dependen de tu situación. Revisa las fuentes oficiales enlazadas abajo o consulta a un abogado en los países donde vendes. Las leyes antispam y de protección de datos difieren en los detalles, pero coinciden en tres obligaciones para quien envía emails de marketing: 1. **Permiso.** Ya sea consentimiento antes de enviar (opt-in) o el derecho de la persona a pedirte que dejes de escribirle una vez que empezaste (opt-out). 2. **Identidad.** Di quién eres, con un nombre y una forma de contactarte. Varias leyes exigen un domicilio físico. 3. **Una salida.** Cada email de marketing necesita un enlace de baja que funcione, y debes atender la solicitud dentro de un plazo. Las reglas que aplican suelen depender de dónde está quien recibe el email, no de dónde está tu tienda. Una marca en México que escribe a clientes en Canadá debe cumplir las reglas canadienses para esos clientes. ## CAN-SPAM vs. RGPD: opt-out frente a opt-in Las dos leyes que más se comparan parten de puntos opuestos, y muchas leyes latinoamericanas se parecen más a la europea. **Estados Unidos, [CAN-SPAM](https://tellnod.com/glossary#can-spam).** Puedes escribirle a una persona sin consentimiento previo, siempre que cada mensaje tenga encabezados correctos, un asunto que no engañe, una indicación clara de que es publicidad, un domicilio postal válido y una forma de darse de baja que funcione. Debes atender las bajas en un máximo de 10 días hábiles, y la ley no exceptúa los emails entre empresas. Cada email que incumpla puede costar hasta US$53,088 [S1]. **Unión Europea, RGPD (GDPR) y Directiva ePrivacy.** La Directiva ePrivacy establece un régimen de opt-in para el email de marketing: necesitas el consentimiento de la persona salvo que ya sea tu cliente, cada mensaje debe ofrecer la opción de darse de baja y no puedes ocultar tu identidad [S2]. El RGPD regula además los datos personales en sí. Un consentimiento válido es una elección clara y activa, nunca una casilla premarcada, y debes poder demostrar que se otorgó [S5]. Las autoridades de protección de datos pueden imponer multas de hasta 20 millones de euros o el 4% de la facturación anual mundial [S3]. **Reino Unido, PECR y UK GDPR.** El Reino Unido mantiene el mismo modelo. La ICO indica que no debes enviar emails de marketing a personas sin su consentimiento específico, salvo con el “soft opt-in”: clientes existentes que compraron o negociaron comprarte un producto similar, y a quienes ofreciste la opción de rechazarlo al recopilar sus datos y en cada mensaje posterior [S4]. En la práctica, si recopilas un consentimiento claro y lo registras, cumples el modelo más estricto y el estadounidense al mismo tiempo. ## Leyes de email marketing por país y región | Región | Ley principal | Modelo de consentimiento | Qué necesita cada email | Sanción máxima | | --- | --- | --- | --- | --- | | México | LFPDPPP de 2025 [S16] y Ley Federal de Protección al Consumidor [S17] | Consentimiento tácito como regla general, si pusiste a disposición el aviso de privacidad; revocable en cualquier momento [S16] | Nombre, domicilio, teléfono o, en su defecto, dirección electrónica del proveedor y de PROFECO; respetar a quien pidió no recibir publicidad o está en el registro de PROFECO [S17] | Multas de hasta 320,000 veces la UMA según la LFPDPPP, más en caso de reincidencia [S16] | | Colombia | Ley 1581 de 2012 (SIC) [S18] | Autorización previa, expresa e informada | Que la persona pueda revocar la autorización y pedir la supresión de sus datos | Hasta 2,000 salarios mínimos mensuales [S18] | | Brasil | LGPD (ANPD) [S19] | Se necesita una base legal; el consentimiento es una de diez, junto con los intereses legítimos | Revocación del consentimiento gratuita y sencilla | Hasta el 2% de la facturación, con tope de R$50 millones por infracción [S19] | | Estados Unidos | CAN-SPAM Act (FTC) [S1] | Opt-out | Remitente correcto, asunto honesto, aviso de publicidad, domicilio postal, baja atendida en 10 días hábiles | Hasta US$53,088 por email | | Unión Europea | Directiva ePrivacy y RGPD [S2] | Opt-in; a clientes existentes se les puede escribir sobre productos similares | Identidad del remitente, dirección de respuesta válida, baja en cada mensaje | Hasta 20 millones de euros o el 4% de la facturación mundial según el RGPD [S3] | | Reino Unido | PECR y UK GDPR (ICO) [S4] | Opt-in; soft opt-in para clientes existentes | Identidad del remitente, dirección de contacto válida para darse de baja | No se cubre aquí | | Canadá | CASL [S6] | Opt-in, expreso o implícito (por ejemplo, una compra en los últimos dos años) [S7] | Identidad del remitente, datos de contacto, baja atendida en 10 días hábiles [S7] | Hasta 10 millones de dólares canadienses por infracción para una organización [S8] | | Japón | Ley de Regulación del Envío de Correo Electrónico Específico [S9] | Opt-in, con registro de la solicitud o del consentimiento | Nombre del remitente, una dirección de email para avisos de baja | Órdenes ministeriales para corregir las prácticas de envío | | Taiwán | Ley de Protección de Datos Personales [S10] | Opt-out; no hay una ley antispam específica promulgada (ver abajo) | Una forma de oponerse, ofrecida la primera vez que usas los datos para marketing | No se cubre aquí | | Tailandia | Ley de Protección de Datos Personales (PDPA) [S12] | Consentimiento de marketing separado, según el borrador de guía del regulador | Una forma eficaz de retirar el consentimiento y oponerse | No se cubre aquí | | Indonesia | Ley de Protección de Datos Personales, Ley 27 de 2022 [S13] | Se necesita una base legal; el consentimiento es una de seis, como en el RGPD | Informar finalidad, plazo de conservación y derechos al pedir el consentimiento | Multas de hasta el 2% de la facturación | | Australia | Spam Act 2003 [S14] | Opt-in, expreso o inferido | Identificación del remitente, baja funcional atendida en cinco días hábiles [S15] | No se cubre aquí | ### México: datos personales y protección al consumidor En México aplican dos leyes. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el día siguiente, admite como regla general el consentimiento tácito: basta con que hayas puesto a disposición el aviso de privacidad y la persona no se haya opuesto. Ese consentimiento se puede revocar en cualquier momento, y el aviso debe distinguir las finalidades que requieren consentimiento y ofrecer medios para limitar el uso de los datos [S16]. La autoridad es la Secretaría Anticorrupción y Buen Gobierno [S16]. La Ley Federal de Protección al Consumidor añade reglas sobre la publicidad. Cada mensaje publicitario debe indicar el nombre, domicilio, teléfono o, en su defecto, la dirección electrónica del proveedor y de la Procuraduría Federal del Consumidor (PROFECO). Cualquier consumidor puede exigir que no le envíen publicidad a su dirección electrónica, y está prohibido enviar publicidad a quien lo pidió expresamente o está inscrito en el registro público que lleva PROFECO [S17]. Ese registro se llama Registro Público para Evitar Publicidad (REPEP) [S20]. En comercio electrónico, el proveedor también debe respetar la decisión del consumidor de no recibir avisos comerciales [S17]. ### Colombia y Brasil En Colombia, la Ley 1581 de 2012 exige la autorización previa e informada del titular para tratar sus datos, y la define como un consentimiento previo, expreso e informado. El titular puede revocar la autorización y pedir la supresión de sus datos cuando el tratamiento no respeta los principios de la ley, y la Superintendencia de Industria y Comercio (SIC) vigila su cumplimiento [S18]. En Brasil, la LGPD admite diez bases legales para tratar datos, entre ellas el consentimiento y los intereses legítimos; el consentimiento se puede revocar con un procedimiento gratuito y sencillo, y la ANPD puede imponer multas de hasta el 2% de la facturación, con un tope de R$50 millones por infracción [S19]. ### Notas sobre otras regiones En Japón, el remitente debe conservar un registro que demuestre que la persona pidió o aceptó recibir el email [S9]. En Taiwán, la Comisión Nacional de Comunicaciones aprobó en 2008 un proyecto de ley sobre email comercial [S11], pero a octubre de 2026 no encontramos una ley antispam promulgada en la base de datos legislativa nacional, así que la norma a seguir es la Ley de Protección de Datos Personales: cuando una persona se opone al marketing, debes dejar de usar sus datos para ese fin [S10]. La guía de marketing de Tailandia se publicó como borrador para consulta en julio de 2026 y puede cambiar [S12]. No incluimos otros países de América Latina, como Argentina, Chile o Perú, porque no pudimos confirmar sus reglas contra una fuente oficial. Si vendes ahí, revisa la normativa local antes de enviar. ## Reglas prácticas para una tienda en línea pequeña No necesitas doce programas de cumplimiento. Un solo conjunto de hábitos cubre las reglas más estrictas de la tabla: - **Pide permiso antes de enviar.** Usa una casilla sin marcar en el checkout y en tu formulario de suscripción, con un texto que nombre tu tienda y diga qué vas a enviar. En Colombia, ese consentimiento previo y expreso es la regla [S18]. - **Separa comprar de suscribirse.** En la mayoría de los países con opt-in, una compra por sí sola no es consentimiento. La vía de clientes existentes del Reino Unido y la Unión Europea exige ofrecer la baja en el checkout y en cada email [S4]. - **Nunca compres ni pidas prestadas listas.** El consentimiento dado a otra empresa no se transfiere a ti, salvo que la persona lo haya aceptado. - **Pon tu identidad y tu domicilio en cada pie de página.** CAN-SPAM exige un domicilio postal [S1], y en México la publicidad también debe incluir tus datos de contacto y los de PROFECO [S17]. El [verificador de pie de email](https://tellnod.com/tools/email-footer-checker) señala lo que falta. - **Haz que la baja sea de un paso y atiéndela rápido.** El plazo más corto de la tabla es de cinco días hábiles, en Australia [S15]. Procesar las bajas de inmediato cubre todas las regiones. - **Mantén una [lista de supresión](https://tellnod.com/glossary#suppression-list).** Quienes se dan de baja, se quejan o te piden no recibir publicidad nunca deben volver a importarse por accidente. ## Registros de consentimiento y doble opt-in Varias de estas leyes ponen la carga de la prueba sobre ti. La ICO indica que debes poder demostrar el consentimiento [S5], y la ley japonesa exige un registro de cada solicitud o consentimiento [S9]. Un [registro de consentimiento](https://tellnod.com/glossary#consent-record) útil guarda: - La dirección de email y la fecha y hora del consentimiento - Dónde ocurrió: checkout, ventana emergente, formulario en tienda o evento - El texto exacto que la persona aceptó, incluido el aviso de privacidad vigente en ese momento - Cualquier cambio posterior: baja, queja o consentimiento renovado El [doble opt-in](https://tellnod.com/glossary#double-opt-in) agrega un email de confirmación en el que la nueva persona suscrita debe hacer clic. La mayoría de estas leyes no lo menciona, pero te da el registro más sólido, detecta errores de escritura y direcciones falsas, y reduce las quejas. El [opt-in simple](https://tellnod.com/glossary#single-opt-in) hace crecer la lista más rápido, con una prueba más débil. Para una tienda pequeña que vende en la Unión Europea, el Reino Unido, Canadá, Japón o Colombia, el doble opt-in es la opción más segura por defecto. Crecer así es más lento, pero se sostiene. Consulta [cómo crear una lista de correos para tu tienda en línea](https://tellnod.com/es/guides/grow-email-list-for-online-store) para ideas de suscripción que mantienen el consentimiento en orden. ## Cómo maneja Tellnod el consentimiento, la baja y tu domicilio Tellnod es un [conector MCP](https://tellnod.com/glossary#mcp-connector) que permite a una tienda escribir, revisar en vista previa y enviar emails de marketing desde Claude o ChatGPT. Lo básico del cumplimiento forma parte de cada envío: - **Registros de consentimiento.** Tellnod guarda un registro de consentimiento para cada contacto. Cuando importas una lista, el estado de consentimiento y las bajas se conservan, y los contactos sin información de consentimiento no se marcan como suscritos hasta que confirmes que aceptaron. - **Baja y domicilio.** Un enlace de baja y tu domicilio postal se agregan a cada campaña. Si vendes en México, revisa que tu pie incluya también el teléfono y los datos de PROFECO que pide la ley [S17]. - **Exclusiones antes de enviar.** Los contactos dados de baja quedan fuera del conteo, y la [tarjeta de confirmación](https://tellnod.com/glossary#approval-card) muestra destinatarios y exclusiones. Solo tú puedes presionar Confirm. Tú apruebas cada envío. Un inicio típico en el chat: “Importa mis clientes desde este CSV. Marca como suscritas solo a las personas que, según el archivo, aceptaron recibir emails.” Después: “Envía un email a los suscriptores de México y Colombia sobre los nuevos tejidos de merino.” Revisas la vista previa y la tarjeta antes de que salga cualquier cosa. Tellnod se encarga de la mecánica, pero decidir a quién puedes escribirle sigue siendo tu responsabilidad, así que importa solo a personas que aceptaron saber de ti. Los planes empiezan gratis; consulta los [precios](https://tellnod.com/es/pricing) o agrega Tellnod desde la [página de conexión](https://tellnod.com/es/connect). Para la parte técnica de llegar a la bandeja de entrada, lee [los requisitos de Gmail y Yahoo para remitentes](https://tellnod.com/es/guides/gmail-yahoo-sender-requirements). ## FAQ ### ¿Qué ley regula el email marketing en México? No hay una ley antispam específica para email. Aplican la LFPDPPP de 2025, que admite el consentimiento tácito con aviso de privacidad y permite revocarlo en cualquier momento [S16], y la Ley Federal de Protección al Consumidor, que prohíbe enviar publicidad a quien pidió no recibirla o está inscrito en el registro de PROFECO [S17]. ### ¿CAN-SPAM es opt-in u opt-out? Opt-out. CAN-SPAM permite enviar emails sin consentimiento previo, pero cada mensaje necesita una forma de darse de baja que funcione, y debes atender las solicitudes en un máximo de 10 días hábiles [S1]. ### ¿Puedo enviar emails a clientes que me compraron sin preguntarles antes? En Estados Unidos, sí, con una opción de baja en cada email. En el Reino Unido y la Unión Europea, solo con la excepción de clientes existentes: productos similares y una opción de baja ofrecida en el checkout y en cada mensaje [S4]. En México, el consentimiento tácito es válido si pusiste a disposición tu aviso de privacidad y la persona no se opuso [S16]. En Colombia necesitas autorización previa y expresa [S18]. ### ¿La ley exige el doble opt-in? La mayoría de las leyes no lo exige por nombre. Exigen un consentimiento que puedas demostrar, y un clic de confirmación es una prueba sólida; por eso el doble opt-in es la opción más segura en los países con opt-in. ### ¿Qué debe incluir un registro de consentimiento? La dirección de email, cuándo se dio el consentimiento, dónde (checkout, formulario o evento), el texto exacto que se mostró y cualquier baja o queja posterior. Reguladores como la ICO esperan que puedas demostrarlo [S5]. ## Sources - [S1] FTC: CAN-SPAM Act: A compliance guide for business: (checked 2026-10-22) - [S2] European Commission: Protecting privacy and fighting spam (fact sheet 24): (checked 2026-10-22) - [S3] European Commission: Enforcement and sanctions: (checked 2026-10-22) - [S4] ICO: Electronic mail marketing: (checked 2026-10-22) - [S5] ICO: What is valid consent?: (checked 2026-10-22) - [S6] Justice Laws Website: S.C. 2010, c. 23 (CASL), sections 1 to 8: (checked 2026-10-22) - [S7] Justice Laws Website: S.C. 2010, c. 23 (CASL), section 11: (checked 2026-10-22) - [S8] Justice Laws Website: S.C. 2010, c. 23 (CASL), section 20: (checked 2026-10-22) - [S9] Ministry of Internal Affairs and Communications: Act on Regulation of Transmission of Specified Electronic Mail (unofficial translation): (checked 2026-10-22) - [S10] Laws and Regulations Database of the Republic of China (Taiwan): Personal Data Protection Act: (checked 2026-10-22) - [S11] Lee and Li: 國家通訊傳播委員會審議通過「濫發商業電子郵件管理條例」草案: (checked 2026-10-22) - [S12] Tilleke & Gibbins: Thailand releases new draft PDPA guidance on lawful bases and marketing: (checked 2026-10-22) - [S13] Rouse: 2022 Indonesian Data Protection Law overview: (checked 2026-10-22) - [S14] Federal Register of Legislation: Spam Act 2003: (checked 2026-10-22) - [S15] Corrs Chambers Westgarth: ACMA Spam Act enforcement and the implications for business: (checked 2026-10-22) - [S16] Orden Jurídico Nacional: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025): (checked 2026-10-22) - [S17] Orden Jurídico Nacional: Ley Federal de Protección al Consumidor (artículos 17, 18, 18 Bis y 76 Bis): (checked 2026-10-22) - [S18] Colombia Compra Eficiente, Relatoría: Ley 1581 de 2012: (checked 2026-10-22) - [S19] ANPD (Autoridade Nacional de Proteção de Dados): Perguntas frequentes: (checked 2026-10-22) - [S20] PROFECO: Registro Público para Evitar Publicidad (REPEP): (checked 2026-10-22)